Logo Ondaïa — Application de météo intérieure et rituels de 10, 20 ou 30 minutes
Conformité RGPD • iOS & Android

Politique de Confidentialité de l'Application Mobile Ondaïa

Dernière mise à jour et date d'entrée en vigueur : 20 octobre 2026 • Éditée par INDIVINE SAS

1. Préambule et Engagement de Confidentialité

La société INDIVINE SAS (ci-après dénommée « INDIVINE » ou « Nous ») édite l'application mobile Ondaïa, dédiée au bien-être holistique, à la méditation guidée, à l'écoute de musiques intuitives, à la tenue d'un journal personnel (journaling), au suivi de manifestation et aux tirages de tarot (ci-après l'« Application »).

Parce que la pratique de l'introspection et du bien-être relève de la sphère la plus intime de chaque individu, INDIVINE a conçu l'architecture technique d'Ondaïa selon les principes de protection des données dès la conception (Privacy by Design) et de protection des données par défaut (Privacy by Default), conformément au Règlement (UE) 2016/679 du 27 avril 2016 dit Règlement Général sur la Protection des Données (ci-après le « RGPD ») et à la Loi n° 78-17 du 6 janvier 1978 modifiée dite « Loi Informatique et Libertés ».

Nos quatre engagements fondamentaux envers chaque Utilisateur :

  1. Minimisation stricte des données : Nous ne collectons que les informations strictement indispensables à la création de votre compte et au fonctionnement technique de l'Application.
  2. Double chiffrement systématique (Local et Cloud) : Vos écrits, tirages et préférences sont chiffrés localement sur votre téléphone ainsi qu'au repos sur nos serveurs sécurisés situés dans l'Union Européenne.
  3. Zéro publicité et zéro pistage : L'Application ne contient aucune régie publicitaire, aucun traceur comportemental inter-applications et ne collecte aucun identifiant publicitaire mobile.
  4. Zéro revente de données : INDIVINE ne vend, ne loue, ne cède et ne marchandise aucune donnée personnelle ou comportementale auprès de tiers.

La présente Politique de Confidentialité a pour objet de vous informer de manière claire, transparente et exhaustive sur la nature des traitements de données à caractère personnel mis en œuvre lors de votre utilisation de l'Application sur les systèmes d'exploitation iOS (Apple App Store) et Android (Google Play Store), ainsi que sur le site internet https://ondaia.fr.

2. Identité du Responsable de Traitement

Le Responsable de Traitement des données à caractère personnel collectées via l'Application Ondaïa est :

Dénomination sociale : INDIVINE

Forme juridique : Société par Actions Simplifiée (SAS) au capital de 10 000,00 €

Siège social : 6 rue d’Armaillé, 75017 Paris, France

Immatriculation : En cours d'immatriculation au Registre du Commerce et des Sociétés (RCS) de Paris

Dirigeants : Monsieur Vivien LEZIN (Président) et Madame Camille LA GANZA (Directrice Générale)

Contact RGPD / Protection des données :

Pour toute question relative à la présente Politique de Confidentialité ou pour exercer vos droits légaux sur vos données personnelles, vous pouvez contacter notre référent à la protection des données directement à l'adresse électronique .

3. Données collectées et Architecture « Local + Cloud Chiffré »

Conformément à l'article 5.1.c du RGPD relatif au principe de minimisation des données, Ondaïa limite sa collecte aux seules catégories de données exposées ci-dessous. L'Application ne propose aucune boutique de produits physiques et ne collecte par conséquent aucune adresse postale de livraison ni aucun numéro de téléphone.

3.1. Architecture technique « Offline-First » avec synchronisation Cloud sécurisée

Ondaïa repose sur une architecture hybride combinant haute disponibilité hors-ligne et sauvegarde distante sécurisée :

  • Enregistrement local chiffré (Haute disponibilité hors-ligne) : Vos données d'utilisation et entrées personnelles (journaling, tirages, suivi de manifestation, favoris, préférences) sont d'abord enregistrées et chiffrées localement sur votre téléphone afin de garantir le fonctionnement de l'Application même sans connexion réseau.
  • Synchronisation et sauvegarde Cloud chiffrée au repos (Multiplateforme) : Ces données sont ensuite synchronisées via un flux chiffré (TLS/HTTPS) vers une base de données sécurisée et chiffrée au repos, hébergée sur Google Cloud Platform (GCP) au sein de l'Union Européenne. Cette synchronisation a pour finalité exclusive de permettre l'utilisation multiplateforme et de garantir la disponibilité ainsi que la restauration de vos données en cas de perte, de vol, de casse ou de changement de téléphone.

3.2. Détail des quatre catégories de données traitées

a) Données d'identification minimale du compte

Lors de la création de votre compte Utilisateur, nous collectons uniquement :

  • Votre Prénom (ou pseudonyme d'usage choisi par vos soins) ;
  • Votre Adresse e-mail ;
  • En cas de création de compte par authentification unique (Single Sign-On ou SSO via les services « Connexion avec Apple » ou « Google Sign-In ») : le jeton d'authentification unique transmis par Apple ou Google, ainsi que l'adresse e-mail associée (y compris l'adresse e-mail relais masquée si vous utilisez la fonction Masquer mon adresse e-mail d'Apple).

b) Contenus personnels liés au bien-être

Dans le cadre de votre utilisation active des fonctionnalités de l'Application, sont enregistrés sous forme doublement chiffrée (en local sur votre appareil et en sauvegarde Cloud chiffrée au repos sur Google Cloud Platform en Union Européenne pour assurer la continuité de service multi-appareils) :

  • Vos notes et entrées écrites au sein de l'espace de journaling ;
  • Votre historique et vos notes de suivi de manifestation ;
  • L'historique de vos tirages de tarot et les réflexions personnelles associées ;
  • Vos préférences applicatives, historiques d'écoute de méditations guidées et de musiques intuitives, ainsi que vos contenus mis en favoris.

Précision expresse sur le caractère non médical d'Ondaïa :

Ondaïa est exclusivement une application de bien-être holistique, de relaxation et de développement personnel non médicale. Ses contenus et les notes saisies par l'Utilisateur ne constituent en aucun cas un suivi médical, un diagnostic clinique, une consultation psychologique ou des données de santé au sens clinique. Compte tenu du caractère intime de ces écrits, INDIVINE leur applique néanmoins les standards de chiffrement les plus stricts et recueille le consentement explicite de l'Utilisateur pour leur sauvegarde Cloud.

c) Données relatives aux transactions et abonnements

Tous les abonnements et achats intégrés (In-App Purchases) sont traités exclusivement par l'Apple App Store (sur iOS) et le Google Play Store (sur Android).

  • Aucun accès aux coordonnées bancaires : INDIVINE SAS n'a jamais accès à vos coordonnées bancaires, numéros de carte de paiement ou cryptogrammes, et ne stocke aucune donnée financière.
  • Jeton de validation technique : INDIVINE ne reçoit des Stores qu'un jeton de validation technique chiffré confirmant le statut actif, le renouvellement ou l'expiration de l'abonnement afin de débloquer les fonctionnalités correspondantes dans l'Application.

d) Données techniques et statistiques anonymisées via Aptabase

Pour mesurer l'audience globale et assurer la stabilité technique de l'Application, nous utilisons exclusivement la solution Aptabase, choisie pour sa conformité stricte au RGPD (approche Privacy-First) :

  • Les métriques d'utilisation et de diagnostic (version de l'OS, modèle générique d'appareil, version de l'Application, rapport de plantage) sont collectées de manière strictement anonymisée à la source.
  • Aucun suivi individuel n'est opéré, aucun cookie publicitaire n'est déposé, et aucun identifiant publicitaire mobile (IDFA sur iOS ou GAID sur Android) n'est collecté.

4. Finalités, Bases Légales (Articles 6 et 9 du RGPD) et Durées de Conservation

Chaque traitement de données mis en œuvre par INDIVINE repose sur une finalité précise, une base légale déterminée au sens des articles 6 et 9 du RGPD et une durée de conservation strictement limitée :

Catégorie de données Finalité précise Base légale RGPD Durée de conservation
Données d'identification minimale Prénom, adresse e-mail, jeton d'authentification SSO Apple ou Google Création et gestion du compte Utilisateur, authentification sécurisée SSO, fourniture des fonctionnalités de l'Application et synchronisation multiplateforme du profil. Exécution du contrat (CGU) Article 6.1.b du RGPD Pendant toute la durée d'activité du compte. Suppression automatique après 24 mois d'inactivité totale après notification préalable, ou suppression immédiate sur demande de l'Utilisateur.
Contenus personnels liés au bien-être Entrées de journaling, tirages de tarot, suivi de manifestation, favoris et préférences Sauvegarde Cloud chiffrée au repos des notes personnelles de journaling, des tirages et du suivi émotionnel afin de garantir la continuité de service multi-appareils et la restauration en cas de perte, vol, casse ou changement de téléphone. Consentement explicite Articles 6.1.a et 9.2.a du RGPD & Exécution du contrat (CGU — Art. 6.1.b) Pendant toute la durée d'activité du compte. Effacement immédiat sur l'appareil et purge intégrale des sauvegardes Cloud sous 30 jours maximum en cas de suppression du compte (ou après 24 mois d'inactivité totale).
Données relatives aux transactions Jeton de validation technique et statut d'abonnement transmis par Apple App Store / Google Play Store Gestion technique du statut d'abonnement, ouverture des droits d'accès aux contenus Premium et respect des obligations comptables et fiscales. Exécution du contrat (CGU) Article 6.1.b du RGPD & Obligation légale comptable (Art. 6.1.c) Pendant la durée d'activité du compte. Les pièces comptables agrégées (sans aucun contenu personnel) sont conservées 10 ans conformément à l'article L.123-22 du Code de commerce.
Données techniques et statistiques anonymisées Métriques d'usage et diagnostics applicatifs via Aptabase Sécurité de l'infrastructure, prévention et correction des bugs, et élaboration de statistiques d'usage strictement anonymisées. Intérêt légitime Article 6.1.f du RGPD Données anonymisées dès la collecte (aucune ré-identification possible). Conservation des agrégats statistiques limitée à 24 mois.
Demandes d'exercice des droits RGPD E-mail de la demande et suivi du traitement de la requête Gestion, traitement et traçabilité légale des demandes d'exercice de droits RGPD (accès, rectification, effacement, portabilité, opposition). Obligation légale Articles 6.1.c et 12 à 22 du RGPD 5 ans à compter de la clôture de la demande en archivage intermédiaire restreint à des fins probatoires.

5. Sous-traitants techniques, Hébergement et Transferts de données

Aucune donnée personnelle ou comportementale n'est vendue, louée, cédée ou partagée avec des tiers publicitaires ou commerciaux. INDIVINE fait appel exclusivement aux sous-traitants techniques suivants, soumis à des engagements contractuels stricts de confidentialité et de sécurité (article 28 du RGPD) :

  • Google Cloud Platform (GCP — Google Ireland Limited) : Hébergement de l'infrastructure applicative et de la base de données chiffrée au repos, sur des serveurs situés exclusivement au sein de l'Union Européenne (Région Europe-West9, Paris, France).
  • Apple Inc. & Google Ireland Limited : Fourniture de l'authentification unique SSO (« Connexion avec Apple » et « Google Sign-In », uniquement si ce mode de connexion est choisi par l'Utilisateur) et gestion exclusive des paiements et abonnements intégrés (In-App Purchases) via l'Apple App Store et le Google Play Store.
  • Aptabase : Solution d'analyse d'usage et de diagnostic applicatif strictement anonymisée, fonctionnant sans cookie et sans traceur tiers.

Garanties juridiques encadrant les transferts internationaux : Vos bases de données sont hébergées au sein de l'Union Européenne. Dans les cas strictement limités où l'intervention des sociétés mères américaines de nos prestataires d'infrastructure (Google LLC ou Apple Inc.) implique un transfert technique hors de l'Espace Économique Européen, ce transfert est intégralement encadré par la décision d'adéquation de la Commission Européenne du 10 juillet 2023 relative au Cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) ainsi que par les Clauses Contractuelles Types (CCT) de la Commission Européenne (Décision (UE) 2021/914), assorties de mesures techniques de chiffrement systématique.

6. Mesures de Sécurité Techniques et Organisationnelles (Article 32 du RGPD)

En application de l'article 32 du RGPD, INDIVINE déploie des mesures de sécurité techniques et organisationnelles rigoureuses afin de préserver la confidentialité, l'intégrité et la disponibilité de vos données :

Chiffrement local sur le terminal

Les données stockées hors-ligne sur votre téléphone sont chiffrées localement et isolées au sein du conteneur sécurisé de l'Application (iOS Keychain et Android Keystore).

Chiffrement en transit (TLS 1.3 / HTTPS)

Toutes les synchronisations entre votre téléphone et nos serveurs Cloud transitent exclusivement par des flux chiffrés sous protocole HTTPS / TLS 1.3.

Chiffrement au repos sur GCP (AES-256)

Les sauvegardes hébergées sur Google Cloud Platform dans l'Union Européenne sont systématiquement chiffrées au repos selon le standard cryptographique AES-256.

Cloisonnement des accès & Authentification

Authentification Utilisateur sécurisée (jetons à durée de vie limitée, OAuth 2.0 / SSO) et restriction stricte des accès d'infrastructure sous authentification multifacteur (MFA).

7. Vos Droits RGPD et Procédure de Suppression de Compte (Exigence Apple & Google)

Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés, vous disposez à tout moment des droits suivants sur vos données personnelles :

  • Droit d'accès (Article 15 RGPD) : obtenir la confirmation que vos données sont traitées et en recevoir une copie complète.
  • Droit de rectification (Article 16 RGPD) : corriger ou mettre à jour toute information personnelle inexacte ou incomplète.
  • Droit à l'effacement / « droit à l'oubli » (Article 17 RGPD) : obtenir la suppression définitive de votre compte et de l'intégralité de vos données locales et Cloud.
  • Droit à la portabilité (Article 20 RGPD) : recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine.
  • Droit à la limitation du traitement (Article 18 RGPD) : demander la suspension temporaire du traitement de vos données dans les cas prévus par la loi.
  • Droit d'opposition (Article 21 RGPD) : vous opposer à un traitement fondé sur l'intérêt légitime pour des raisons tenant à votre situation particulière.
  • Droit au retrait du consentement (Article 7.3 RGPD) : retirer à tout moment votre consentement pour la sauvegarde Cloud de vos contenus personnels, sans porter atteinte à la licéité du traitement antérieur.
  • Directives post-mortem (Article 85 de la Loi Informatique et Libertés) : définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Comment supprimer mon compte et toutes mes données ?

Vous pouvez demander à tout moment la suppression totale et définitive de votre compte Ondaïa et de toutes les données associées selon l'une des deux modalités suivantes :

1. Directement depuis l'Application Ondaïa (Suppression autonome en un clic) :

Rendez-vous dans la rubrique Paramètres / Profil > Supprimer mon compte au sein de l'Application. Cette action entraîne l'effacement définitif immédiat des données sur votre téléphone ainsi que la purge intégrale et irréversible des sauvegardes chiffrées sur les serveurs Google Cloud Platform (GCP) sous un délai maximal de 30 jours.

2. Par courrier électronique :

Sur simple demande envoyée par e-mail à l'adresse , nous procédons à la suppression définitive de votre compte et à la purge intégrale de vos sauvegardes Cloud sous un délai maximal de 30 jours.

Note relative aux abonnements App Store / Google Play : La suppression de votre compte Ondaïa ne résilie pas automatiquement le renouvellement financier d'un abonnement souscrit auprès d'Apple ou de Google. Pensez à gérer ou résilier votre abonnement directement dans les réglages de votre compte Apple App Store ou Google Play Store.

Réclamation auprès de la CNIL : Si vous estimez, après nous avoir contactés à l'adresse , que vos droits « Informatique et Libertés » ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle française : la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr .

8. Absence de Cookies Publicitaires et Traceurs

Conformément à l'article 82 de la Loi Informatique et Libertés et aux lignes directrices de la CNIL :

  • Aucun SDK publicitaire ni traceur inter-applications : L'Application Ondaïa et le site web https://ondaia.fr n'intègrent aucun SDK publicitaire, aucun pixel de reciblage marketing et aucun traceur de profilage commercial.
  • Absence de sollicitation App Tracking Transparency (ATT) sur iOS : Parce qu'Ondaïa n'effectue strictement aucun pistage publicitaire inter-applications (cross-app tracking) et ne collecte jamais les identifiants publicitaires mobiles (IDFA sur iOS ou GAID sur Android), aucune fenêtre d'autorisation de pistage ATT n'est requise sur iOS.
  • Stockage technique strictement nécessaire : Seuls les jetons techniques d'authentification et le stockage local chiffré indispensables à la fourniture du service demandé par l'Utilisateur sont utilisés, lesquels sont exemptés de consentement préalable.

9. Protection des Mineurs

Conformément à l'article 8 du RGPD et à l'article 45 de la Loi Informatique et Libertés fixant l'âge de la majorité numérique en France, l'accès et l'inscription à l'Application Ondaïa sont réservés aux personnes âgées d'au moins quinze (15) ans.

INDIVINE SAS ne collecte sciemment aucune donnée personnelle concernant des mineurs de moins de 15 ans. Si un titulaire de l'autorité parentale constate qu'un mineur de moins de 15 ans a créé un compte sans autorisation parentale conjointe, il peut demander la suppression immédiate du compte et des données associées en écrivant à .

10. Mise à jour de la Politique de Confidentialité

INDIVINE SAS se réserve le droit de modifier ou de mettre à jour la présente Politique de Confidentialité afin de tenir compte des évolutions techniques ou fonctionnelles de l'Application Ondaïa, ou de toute évolution législative ou réglementaire.

En cas de modification substantielle portant sur les catégories de données collectées, les finalités de traitement ou les modalités d'exercice de vos droits, les Utilisateurs disposant d'un compte en seront informés par notification au sein de l'Application et/ou par courrier électronique au moins quinze (15) jours avant l'entrée en vigueur de la nouvelle version.

La présente Politique de Confidentialité est entrée en vigueur le 20 octobre 2026 et demeure consultable à tout moment depuis l'Application Ondaïa ainsi qu'à l'adresse https://ondaia.fr/confidentialite.